RapperBot僵尸网络：毫秒级劫持设备发动DDoS攻击
内容提要
2025年4月，研究人员发现RapperBot僵尸网络利用被入侵的NVR设备发起快速的UDP泛洪攻击，峰值能力超过7Tbps。该恶意软件通过暴力破解和伪装固件更新感染设备，利用NFS协议规避检测，感染过程隐蔽，几乎不留痕迹。
关键要点
-
2025年4月，研究人员发现RapperBot僵尸网络利用被入侵的NVR设备发起UDP泛洪攻击。
-
攻击流量在感染后数毫秒内激增，导致服务中断和带宽耗尽。
-
RapperBot通过暴力破解和伪装固件更新感染设备，攻击链速度极快。
-
恶意软件通过加密DNS TXT记录查询获取C2服务器IP地址，并在80端口发起UDP泛洪攻击。
-
单台设备的吞吐量超过1Gbps，整个僵尸网络的峰值攻击能力超过7Tbps。
-
RapperBot利用NFS协议规避检测，感染过程隐蔽，几乎不留痕迹。
-
C2发现机制依赖于托管在OpenNIC域名上的加密TXT记录，恶意软件随机选择主机名进行解析。
-
感染机制通过路径穿越漏洞下载账户配置文件，发起虚假固件更新，发送恶意负载。
-
该方法规避了NVR设备环境的限制，通过NFS协议实现感染，减少取证痕迹。
延伸解读
RapperBot的攻击速度与隐蔽性
RapperBot僵尸网络的攻击速度极快，感染后仅需数毫秒便可发起DDoS攻击。这种迅速的转变使得受害者几乎无法及时响应，增加了网络防御的难度。此外，RapperBot通过利用NFS协议和路径穿越漏洞，成功规避了传统安全检测，感染过程几乎不留痕迹，给网络安全带来了新的挑战。
对IoT设备的威胁
RapperBot主要利用老旧的NVR设备进行攻击，这凸显了IoT设备在网络安全中的脆弱性。许多IoT设备缺乏必要的安全更新和防护措施，使其成为攻击者的目标。用户和企业应重视设备的安全配置，定期检查和更新固件，以降低被攻击的风险。
C2服务器发现机制的复杂性
RapperBot的C2服务器发现机制依赖于加密DNS TXT记录，这种复杂的机制使得追踪和阻断攻击变得更加困难。攻击者通过随机选择主机名和解析IP地址，增加了其隐蔽性。网络安全团队需要关注这种新型的C2发现方式，以便及时更新防御策略，提升对抗能力。
延伸问答
RapperBot僵尸网络是如何感染设备的？
RapperBot通过暴力破解和伪装固件更新感染设备，利用路径穿越漏洞下载账户配置文件，发起虚假固件更新，发送恶意负载。
RapperBot的攻击能力有多强？
RapperBot的整个僵尸网络峰值攻击能力超过7Tbps，单台设备的吞吐量超过1Gbps。
RapperBot是如何规避检测的？
RapperBot利用NFS协议规避检测，感染过程隐蔽，几乎不留痕迹，且通过加密DNS TXT记录查询获取C2服务器IP地址。
RapperBot的攻击链速度有多快？
RapperBot在感染后数毫秒内就能发起攻击，攻击链速度极快。
RapperBot是如何发起UDP泛洪攻击的？
RapperBot在获取C2服务器IP地址后，通过80端口持续发起UDP泛洪攻击。
RapperBot的C2服务器发现机制是什么？
RapperBot的C2发现机制依赖于托管在OpenNIC域名上的加密TXT记录，恶意软件随机选择主机名进行解析。
